Ca. 200 Kilometer. So weit sollen zwei Rechenzentren nach dem Bundesamt für Sicherheit in der Informationstechnik (BSI) mindestens auseinander liegen, wenn das eine den Betrieb übernehmen soll, falls das andere ausfällt. Weniger als 100 Kilometer sollen es keinesfalls sein. Die Zahl steht in den „Kriterien für die Standortwahl von Rechenzentren“, Version 2.1 vom Dezember 2024, und ist eine Empfehlung, kein Gesetz. DORA, die EU-Verordnung für die Finanzbranche, nennt gar keine Kilometerzahl. Und für Angriffe mit Kriegswaffen, zu denen auch Atomwaffen zählen, verlangt das BSI eigene Sicherheitsbetrachtungen, die über den Rahmen des Dokuments hinausgehen.
Was das BSI wörtlich empfiehlt
Das BSI unterscheidet zwei Arten von Standortredundanz. Liegen zwei Rechenzentren nah beieinander, geben sie einander nur Betriebsredundanz. Liegen sie so weit auseinander, dass „selbst ein Großschadensereignis nicht gleichzeitig oder zeitnah mehrere RZ“ trifft, sprechen die Standortkriterien von Georedundanz (Kap. 4, S. 15). Als Beispiele für solche Ereignisse nennt das Dokument die Schneekatastrophe im Münsterland 2005 und die Jahrhunderthochwasser an Elbe und Donau 2013.
Für Georedundanz „sollten“ die Rechenzentren einen Mindestabstand von ca. 200 km haben (Kap. 4.1, S. 15). Das BSI begründet den Wert mit Erfahrungen zur flächigen Ausdehnung von Großschadensereignissen, mit der Überlegung, dass die Wahrscheinlichkeit eines gleichzeitigen Treffers mit wachsendem Abstand sinkt, und mit der begrenzten Fläche Deutschlands. Weniger ist erlaubt, wenn es im Einzelfall „unabweisbar“ ist. Dann muss der Betreiber das schriftlich begründen und einer Risikoanalyse unterziehen, und auch dann nie unter 100 km. Was „unabweisbar“ heißt, steht in Kap. 1.4 (S. 6 und 7): zwingende technische oder betriebliche Gründe. Dass ein geringerer Abstand billiger ist, zählt ausdrücklich nicht.
Für nahe Standorte gibt es eigene Werte. Ein Bombenfund aus dem Zweiten Weltkrieg kann eine Sperrung im Radius von bis zu 1.500 m auslösen, deshalb sollen betriebsredundante Rechenzentren rund 5 km auseinander liegen, wegen der Folgen für den Verkehr in der Umgebung besser 10 bis 15 km (Kap. 3, S. 14).
Zur Einordnung, eigene Rechnung als Luftlinie zwischen den Stadtzentren: Köln und Frankfurt am Main liegen ca. 150 km auseinander, Frankfurt und München ca. 300 km. Ob das BSI in Kap. 4.1 Luftlinie oder Leitungslänge meint, sagt es nicht ausdrücklich; da es um die Fläche eines Großschadensereignisses geht, liegt die Luftlinie nahe. Ein Paar Köln/Frankfurt läge also über der Untergrenze von 100 km, aber unter der Empfehlung von 200 km.
Kurzer Exkurs, weil er zeigt, wie weit das BSI denkt: Werden georedundante Rechenzentren vom selben Caterer versorgt, soll das Essen für mehr als ein Rechenzentrum nicht in derselben Küche zubereitet werden (Kap. 4.4, S. 17). Zur Begründung verweist der Anhang auf den Brechdurchfall-Ausbruch 2012 mit über 10.000 Betroffenen in fünf Bundesländern (Kap. 5.4.13, S. 25).
Und die Bombe?
Haben die 200 Kilometer etwas mit Bombenangriffen zu tun? Nach dem Dokument nicht. Kap. 1.5 (S. 7) klammert solche Szenarien ausdrücklich aus. Wer Ereignisse wie die Anschläge vom 11. September 2001 berücksichtigen will, braucht „spezielle Sicherheitsbetrachtungen“, die über die Standortkriterien hinausgehen. „Entsprechendes gilt“, so das BSI, wenn Angriffe mit Waffen als realistisch angenommen werden, die dem Gesetz über die Kontrolle von Kriegswaffen unterliegen. Atomwaffen stehen dort in Teil A der Kriegswaffenliste.
Kerntechnik kommt in den Standortkriterien trotzdem vor, nur an anderer Stelle. Ein einzelnes Rechenzentrum soll 40 km Abstand zu Anlagen halten, bei denen Ereignisse ab Stufe 5 der Internationalen Bewertungsskala für nukleare Ereignisse (INES) möglich sind, und 5 km zu Anlagen bis Stufe 4 (Kap. 2.1.1, S. 8 und 9). Begründet wird das mit den Evakuierungsradien von Tschernobyl (37 km) und Fukushima (20 km Sperrzone), nicht mit Waffenwirkung (Kap. 5.4.1, S. 21).
Und noch ein Satz, der in Diskussionen über die Zahl selten fällt: „Zu keinem der in diesem Dokument genannten Abstandswerte gibt es zwingende physikalische Gründe“ (Kap. 5.4, S. 21). Das BSI nennt seine Werte selbst „vernünftige plausible Vorgaben“.
Umstritten ist die Zahl trotzdem
Das BSI räumt ein, dass die Literatur zum Abstand weit auseinandergeht (Kap. 5.4.12, S. 25). Zitiert werden Angaben von „mehrere Kilometer“ bis „≥ 5.000 km“ für einen katastrophentoleranten Verbund. Das für die Normenreihe DIN EN 50600 zuständige Gremium DKE/GK 719 hat die erste Fassung der Standortkriterien im März 2019 kritisiert: Die 200 km seien nicht hergeleitet. Statt eines festen Abstands solle eine qualifizierte Risikoanalyse zeigen, ob zwei Standorte gemeinsame Risiken haben. Das BSI ist in der Fassung von 2024 bei den 200 km geblieben.
Dazu kommt ein technischer Zielkonflikt, den das BSI offen benennt. Ab mehr als 100 km Leitungslänge können nach dem BSI Probleme bei der synchronen Datenhaltung auftreten, und die Leitung ist immer länger als die Luftlinie (Kap. 2.2, S. 10). Großer Abstand schützt besser, macht aber eine verlustfreie Spiegelung schwerer. Beides zugleich optimal zu haben, hält das BSI für kaum möglich, der Betreiber muss im Sicherheitskonzept begründen, was zurücksteht (Kap. 1.3, S. 6). Als Ausweg nennt das Dokument, Datenbestände betriebsredundanter Rechenzentren zusätzlich in einem tatsächlich georedundanten Rechenzentrum zu sichern (Kap. 3, S. 14).
Wer hat also recht, das BSI mit der festen Zahl oder die Normungsleute mit der Risikoanalyse? Das lässt sich nicht pauschal entscheiden. Die Zahl ist leicht prüfbar, die Risikoanalyse genauer, aber nur so gut wie ihr Verfasser.
Was DORA verlangt
Für Banken, Versicherer und andere Finanzunternehmen gilt seit dem 17. Januar 2025 die Verordnung (EU) 2022/2554, kurz DORA (Art. 64). Art. 12 Abs. 4 verlangt von Finanzunternehmen, die keine Kleinstunternehmen sind, redundante IKT-Kapazitäten, die für den Geschäftsbedarf ausreichen. Eine Entfernung steht dort nicht.
Konkreter wird DORA nur für Zentralverwahrer. Sie brauchen nach Art. 12 Abs. 5 einen sekundären Verarbeitungsstandort „in geografischer Entfernung“, damit er „ein eigenes Risikoprofil“ hat und vom Ereignis am Hauptstandort nicht betroffen ist. Für zentrale Gegenparteien verlangt die Delegierte Verordnung (EU) 2024/1774 in Art. 24 Abs. 2 Buchst. c Ziff. ii einen sekundären Verarbeitungsstandort, der „ein anderes geografisches Risikoprofil“ aufweisen muss als der Primärstandort. Eine Kilometerzahl nennt keine der beiden Vorschriften. Auch das deutsche BSI-Gesetz verlangt von Einrichtungen unter NIS2 in § 30 Abs. 2 Nr. 3 Backup-Management und Wiederherstellung nach einem Notfall, ohne Abstandsangabe.
Und Ihre Website?
Die Standortkriterien richten sich vor allem an Rechenzentren mit hohem oder sehr hohem Schutzbedarf bei der Verfügbarkeit (Kap. 1, S. 5). Das BSI schreibt aber auch, dass ein Kunde anhand des Dokuments prüfen kann, ob ein Dienstleistungs-Rechenzentrum zu seinen Anforderungen passt (Kap. 1.1, S. 5). Genau dafür taugt es.
Unsere Einschätzung als Experto Mundi: Für die Website eines kleinen Betriebs ist die Frage nach zwei Rechenzentren im Abstand von 200 km selten die wichtigste. Wichtiger ist, wo die Datensicherung liegt und ob sie im selben Gebäude steht wie die Website. Fragen Sie Ihren Hoster, an welchen Standorten Website und Sicherung liegen, wie weit diese voneinander entfernt sind und ob das im Vertrag steht. Ein Prospekt mit dem Wort „georedundant“ ersetzt diese Angaben nicht.
Wie Ihre Website technisch dasteht, zeigt der Website-Compliance-Check von Experto Mundi. Die Frage nach den Rechenzentren beantwortet Ihr Hoster.
Quellen (Abrufdatum: 06.11.2026)
- BSI, Kriterien für die Standortwahl von Rechenzentren (RZ-Standortkriterien), Version 2.1, Dezember 2024, Kap. 1, 1.1, 1.3, 1.4, 1.5, 2.1.1, 2.2, 3, 4, 4.1, 4.4, 5.4, 5.4.1, 5.4.12, 5.4.13 (PDF): bsi.bund.de
- DKE/GK 719, Normauslegung zum BSI-Dokument „Kriterien für die Standortwahl höchstverfügbarer und georedundanter Rechenzentren“, veröffentlicht 20.03.2019: dke.de
- Verordnung (EU) 2022/2554 (DORA), Art. 12 Abs. 4 und 5, Art. 64, CELEX 32022R2554: EUR-Lex
- Delegierte Verordnung (EU) 2024/1774, Art. 24 Abs. 2 Buchst. c Ziff. ii, CELEX 32024R1774: EUR-Lex
- BSI-Gesetz (BSIG) vom 02.12.2025, BGBl. 2025 I Nr. 301, § 30 Abs. 2 Nr. 3: gesetze-im-internet.de
- Gesetz über die Kontrolle von Kriegswaffen, Anlage (Kriegswaffenliste), Teil A, Abschnitt I: gesetze-im-internet.de
Dieser Beitrag ist eine an die Allgemeinheit gerichtete Darstellung von Rechts- und Fachfragen und keine Rechtsdienstleistung (§ 2 Abs. 1 und Abs. 3 Nr. 5 RDG). Er prüft keinen Einzelfall und ersetzt keine anwaltliche oder technische Beratung. Maßgeblich sind allein die Rechtstexte und Dokumente in ihrer geltenden Fassung; Stand: 06.11.2026.